Frist 2027 des DPDP-Gesetzes: Welche Rechte Inder erhalten werden

Indiens Gesetz zum Schutz digitaler personenbezogener Daten (DPDP) hat das theoretische Stadium hinter sich gelassen. Da der Großteil der Bestimmungen voraussichtlich bis Mai 2027 in Kraft treten wird, muss jedes Unternehmen, das personenbezogene Daten erhebt oder verarbeitet, einschließlich Start-ups, eine Reihe neuer gesetzlicher Verpflichtungen erfüllen. Doch die drängendere Frage für normale Nutzer ist nicht, ob Start-ups bereit sind. Es geht darum, was die Verbraucherdatenrechte des DPDP-Gesetzes tatsächlich für die Person bedeuten, deren Telefonnummer, Standortverlauf und finanzielle Details sich derzeit in Dutzenden von App-Datenbanken befinden.

Was das DPDP-Gesetz für alltägliche indische Nutzer ändert

Bislang hatten die meisten Inder wenig formelles Mitspracherecht darüber, wie Unternehmen ihre persönlichen Daten nutzen, sobald diese bei der Anmeldung preisgegeben wurden. Das DPDP-Gesetz gestaltet diese Beziehung neu. Es bezeichnet Einzelpersonen als „betroffene Personen“ (Data Principals) und die Unternehmen, die ihre Daten erheben, als „Datenverantwortliche“ (Data Fiduciaries) – eine Unterscheidung, die bürokratisch klingt, aber echtes Gewicht hat. Datenverantwortliche sind verpflichtet, im Interesse der Person zu handeln, deren Daten sie speichern, und nicht nur im eigenen kommerziellen Interesse.

Für ein Start-up, das eine Essensliefer-App, eine Kreditplattform oder einen Fitness-Tracker betreibt, bedeutet dies, dass die Einwilligung kein verstecktes Kontrollkästchen mehr sein darf. Unternehmen müssen klar angeben, warum sie Daten erheben, eine spezifische Einwilligung für diesen Zweck einholen und die Nutzung der Daten einstellen, sobald dieser Zweck erfüllt ist. Es ist ein Wandel von „alles sammeln, später um Verzeihung bitten“ hin zu einem System, in dem die Begründungslast beim Unternehmen liegt.

Ihre neuen Datenrechte: Zugang, Berichtigung und Löschung

Der praktische Wert des DPDP-Gesetzes für Verbraucher liegt in einer Handvoll durchsetzbarer Rechte. Sobald die entsprechenden Bestimmungen wirksam werden, können Einzelpersonen ein Unternehmen fragen, welche personenbezogenen Daten es über sie gespeichert hat, Berichtigungen verlangen, wenn diese Daten unrichtig oder veraltet sind, und die Löschung fordern, sobald der Zweck, für den sie erhoben wurden, nicht mehr gegeben ist.

Diese Rechte sind nicht einzigartig für Indien, stellen aber eine erhebliche Abkehr von der derzeitigen Funktionsweise der meisten indischen Apps und Plattformen dar. Heutzutage bedeutet die Löschung eines Kontos selten, dass Ihre Daten von den Servern eines Unternehmens verschwinden. Nach dem DPDP-Gesetz sind Unternehmen verpflichtet, tatsächliche Mechanismen – nicht nur Formulierungen in Richtlinien – zu schaffen, damit die Menschen diese Rechte ausüben können. Das hat reale Konsequenzen dafür, wie Start-ups ihre Produkte von Grund auf gestalten – ein Wandel, der in der Berichterstattung darüber, wie das DPDP-Gesetz Indiens Datenschutz in die Vorstandsetage bringt, näher beleuchtet wird, wo Compliance zu einem Anliegen auf Führungsebene wird und nicht mehr stillschweigend von den Rechtsabteilungen erledigt wird.

Benachrichtigung bei Datenschutzverletzungen und was passiert, wenn Start-ups die Vorschriften nicht einhalten

Rechte auf dem Papier sind nur dann von Bedeutung, wenn ihre Missachtung Konsequenzen hat. Das DPDP-Gesetz führt Pflichten zur Benachrichtigung bei Datenschutzverletzungen ein, was bedeutet, dass Unternehmen sowohl die Aufsichtsbehörden als auch die betroffenen Personen informieren müssen, wenn personenbezogene Daten kompromittiert werden. Für ein Land, in dem Datenschutzverletzungen oft nicht eingestanden oder nur durch Sicherheitsforscher oder Medienberichte entdeckt wurden, ist dies eine bedeutende Veränderung in der Rechenschaftspflicht.

Das Gesetz gibt den Aufsichtsbehörden auch die Befugnis, Geldstrafen gegen Unternehmen zu verhängen, die ihren Verpflichtungen nicht nachkommen, sei es durch unzureichende Sicherheitsvorkehrungen, die Missachtung von Einwilligungsanforderungen oder das Versäumnis, betroffene Nutzer nach einer Verletzung zu benachrichtigen. Für Start-ups, die mit knappen Margen arbeiten, soll die Compliance-Vorlaufzeit bis Mai 2027 ihnen die Zeit geben, diese Systeme ordnungsgemäß aufzubauen, anstatt im Nachhinein in Hektik zu verfallen.

Was das für Sie bedeutet: Forderungen, die Sie vor 2027 stellen sollten

Die Compliance-Frist liegt noch vor uns, was bedeutet, dass die derzeitige Kluft zwischen dem, was das Gesetz verspricht, und dem, was Apps tatsächlich tun, nach wie vor groß ist. Nutzer müssen nicht passiv bis 2027 warten, um Fragen zu stellen. Bevor man einer App sensible Daten anvertraut, ist es vernünftig zu fragen, wie lange diese Daten gespeichert werden, ob sie an Dritte weitergegeben werden und ob das Unternehmen bereits heute über einen klaren Prozess für Löschanfragen verfügt, und nicht nur über ein Versprechen für die Zukunft.

Es ist auch ratsam, skeptisch zu bleiben, wie viel Schutz die Regulierung allein bieten wird. Die Wirksamkeit des DPDP-Gesetzes hängt stark von der Durchsetzung ab, und es wurden bereits Fragen aufgeworfen, wie unabhängig Indiens Datenschutzbehörde in der Praxis tatsächlich sein wird. Das ist ein kritisches Detail, denn ein Gesetz mit starken Rechten auf dem Papier bedeutet wenig, wenn die für die Durchsetzung zuständige Stelle nicht die Unabhängigkeit besitzt, mächtige Unternehmen zur Rechenschaft zu ziehen. Leser, die über diese Lücke besorgt sind, sollten sich die Berichterstattung genauer ansehen, wonach die Unabhängigkeit von Indiens Datenschutzbehörde unter Beschuss gerät, wo dargelegt wird, warum der regulatorische Schutz möglicherweise nicht das Sicherheitsnetz ist, das die Verbraucher erwarten.

Das Fazit

Das DPDP-Gesetz setzt einen bedeutsamen neuen Mindeststandard für Verbraucherdatenrechte im Rahmen des DPDP-Gesetzes in Indien, gibt Einzelpersonen eine rechtliche Grundlage, um auf ihre personenbezogenen Daten zuzugreifen, sie zu berichtigen und zu löschen, und verlangt von Unternehmen, Datenschutzverletzungen offenzulegen, anstatt sie zu vertuschen. Doch gerade der Zeitraum bis zur vollständigen Durchsetzung im Jahr 2027 ist der Moment, in dem Wachsamkeit am wichtigsten ist. Stellen Sie Apps und Diensten jetzt direkte Fragen zur Datenspeicherung und -löschung, gehen Sie nicht davon aus, dass Schweigen Compliance bedeutet, und behalten Sie im Auge, wie unabhängig die Datenschutzbehörde tatsächlich funktioniert, sobald die echte Durchsetzung beginnt. Rechte, die nur auf dem Papier existieren, werden erst dann real, wenn jemand bereit ist, sie zu nutzen, und wenn der Durchsetzungsmechanismus dahinter die nötigen Zähne hat, um sie zu untermauern.